Cada día se habla más del Security Operation Center, es decir, del SOC. Pero, ¿en qué consiste?
¿Qué es?
Un Security Operation Center, es un centro de operaciones de seguridad, cuya responsabilidad es la realización de las actividades de seguridad analítica para una detección proactiva y en tiempo real de todo tipo de amenazas. Por otro lado, aporta la seguridad operativa, permitiendo gestión de vulnerabilidades y gestión de incidencias.
¿Cuál es su función?
El SOC ofrece un servicio diferenciador que combina la inteligencia de las amenazas, a través de diversos feed de inteligencia para poder dar una respuesta rápida ante cualquier incidente de seguridad. Lo ideal es que actúe de forma proactiva, es decir, anticipada, pero hay veces que lo hace de forma reactiva.
En el SOC convergen una serie de perfiles técnicos, divididos en tres niveles.
En el primero de ellos, se encuentran los analistas de seguridad. En este nivel se realiza una clasificación y un triage, catalogando alertas o incidencias.
A partir de esto, se entraría en el segundo nivel, a través de un incident response, es decir, alguien que ante una incidencia es capaz de dar una respuesta.
El nivel tres tendría lugar al final del proceso, si no se soluciona, entran en acción los expertos en seguridad, encargados de prescribir soluciones y de trabajar con análisis forense y análisis de código. Ellos, trabaja durante todo el proceso del ataque y después hacen el análisis.
¿Cómo funciona?
Un modelo tecnológico de servicios del SOC, funciona aplicándole a un cliente una sonda para recoger los datos de incidentes de seguridad, y estos se lanzan a SIEM.
Un SIEM es como un radar a donde van todas las alertas e incidentes que se generan para posteriormente cruzarlos con fuentes de Threat Intelligence y de gestión de incidentes con un orquestador, que lanza unas notificaciones que recibe el primer nivel.
¿Cuáles son sus beneficios?
La principal ventaja de contar con un SOC en tu organización es la monitorización y control de seguridad sobre todos los activos. De manera secundaria se consigue tener reducción de costes y se aumenta la capacidad de reacción ante un ciberataque.
Por el contrario, si nuestra organización no contase con un SOC, sería más vulnerable ante cualquier tipo de ataque, puedes sobredimensionar esfuerzos y con ello acarrear más coste. Los costes por un daño pueden producir desde una bajada en la productividad, parar un negocio e incluso hacerlo quebrar.
Artículo escrito por Carlos Gómez, Cybersecurity Presales en GTI Software & Networking